2026年8月28日、インシデントレスポンス企業のAreteが「H1 2026 Crimeware Report」を公開しました。2026年上半期に同社が対応した、数千件規模のランサムウェア・恐喝案件のデータをもとにした報告です。注目したいのは、ランサムウェアグループの順位よりも、攻撃者が「インターネット公開システム」「オープンソースのエコシステム」「信頼されたサードパーティのプラットフォーム」を狙う傾向が強まっている点です。本記事では、Areteの公式プレスリリースを一次情報として、内容と実務への示唆を整理します。
1. レポートの概要
- 発行元：Arete（インテリジェンス主導のサイバーリスク対応企業）
- 公開日：2026年8月28日
- 対象期間：2026年上半期（H1）
- データ源：同社のグローバルチームが、数千件規模の対応案件から収集・分析したデータ
- 提供先：企業、保険会社、ブローカー、法律事務所、金融機関など
なお、全文は登録制のダウンロードで提供されています。本記事は、公開されているプレスリリースの記載と、Areteが公開している月次レポートの記述をもとにしており、レポート本体の詳細な数値は確認していません。
2. 主要な発見
プレスリリースが挙げている要点は次の4つです。
- 主要グループ：Akira、Qilin、INC Ransomが上半期の上位3グループで、3グループを合わせるとAreteが対応したランサムウェア・恐喝案件の3分の1超を占めた
- 初期侵入の経路：脆弱性の悪用、ソーシャルエンジニアリング、ソフトウェアサプライチェーンの侵害が、引き続き主要な経路
- 狙われる対象：信頼されたサードパーティのプラットフォーム、オープンソースのエコシステム、インターネットに公開された技術への注目が強まっている
- AIの悪用：盗んだデータをAIで分析し、恐喝に使える高価値の情報を見つけ出す動きが見られる
3. 「信頼されたもの」が侵入口になる
3つ目の発見は、防御側の前提に関わります。従来の脆弱性管理は、自社の端末やサーバーにCVEがあるかどうかを中心に見ています。しかし攻撃者は、自社の管理下にない、あるいは自社が信頼している経路にも狙いを広げています。
| 狙われる対象 | 意味 | 例 |
|---|---|---|
| インターネット公開システム | 外部から直接到達できる機器・サービス | VPN、ファイアウォール、リモート管理ツールなど。Areteの月次レポートでは、2026年3月にFortiGateのファイアウォールが初期侵入に悪用された事例が報告されている |
| オープンソースのエコシステム | 依存するライブラリやパッケージ | ソフトウェア依存関係を経由した侵害 |
| 信頼されたサードパーティのプラットフォーム | 自社が業務上信頼している外部サービス | Areteの月次レポートでは、Microsoft Teams上でIT部門やヘルプデスクを装って従業員に接触する手口が再び目立つと報告されている |
Areteの担当者は、これらのターゲット化が、影響の大きいサプライチェーン攻撃のリスクを高めているとコメントしています。
4. ランサムウェアグループの動向をどう見るか
上半期は3グループで3分の1超という集中が見られました。一方で、Areteの月次データでは分散も進んでいます。たとえば2026年3月は21グループ、8月は約30グループが観測され、8月に最も活発だったのはINC Ransomでした。新しいグループも次々に登場しています。
ここから言えるのは、特定グループの手口に絞った対策は、寿命が短いということです。グループごとの違いよりも、多くのグループに共通する侵入経路と、そこから広がる過程を押さえるほうが、防御の効果は長持ちします。
5. AIによる盗難データの分析と恐喝
プレスリリースは、攻撃グループがAIを使って盗んだ被害組織のデータを分析し、恐喝に使える高価値の情報を特定しているように見えると述べています。Areteの月次レポートでも、8月にAI支援による盗難データの分析を行っているとみられるグループや、被害者との交渉にAIまたはAI支援のチャット担当を使うグループが確認されています。
データが盗まれること自体に加え、盗まれたデータから「何が最も効くか」を素早く見つけ出される点が、新しいリスクです。
6. 脆弱性管理だけでは足りない（筆者の考察）
以下は、レポートの内容を受けた筆者の整理であり、Areteの主張ではありません。これまでの脆弱性管理が「端末にCVEがあるか」を中心にしていたとすれば、次のように見る対象を広げる必要があります。
| 見る対象 | 確認したいこと |
|---|---|
| 資産（Asset） | 何を持っているか。重要度と担当者は明確か |
| 露出（Exposure） | インターネットから到達できるのはどれか |
| ソフトウェア依存関係（Dependency） | どのOSS・ライブラリに依存しているか |
| 供給元（Supplier） | どのサードパーティやプラットフォームを信頼しているか。連携権限は適切か |
| ID（Identity） | 誰の権限で、どこにつながっているか。なりすましを防げるか |
CVEの有無は、この一連の流れの一部にすぎません。個々の脆弱性を潰すだけでなく、「どの経路から入られうるか」を資産、露出、依存、供給元、IDの単位でつないで見ることが求められます。
7. 実務でできること
- 外部に公開されている資産を継続的に棚卸しし、悪用が確認された脆弱性（KEVなど）は期限を決めて優先的に対応する
- OSSの利用状況を把握し、依存関係の更新と脆弱性情報の監視を仕組み化する
- 利用中のクラウドサービスや外部プラットフォームの一覧を作り、連携権限（アクセストークンやアプリ連携など）を定期的に見直す
- ヘルプデスクを装ったなりすましに備え、パスワードリセットやMFA登録の本人確認手順を強化する
- 盗まれても被害を抑えられるよう、データの分類、保持期間の見直し、暗号化を進める
- 侵入から恐喝までを想定した演習を行い、AIを使った交渉や情報分析も前提にする
8. 読むときの注意点
- 本記事の根拠はプレスリリースであり、レポート全文の数値や詳細は未確認
- データは、Areteが対応した案件に基づく。Areteの顧客層に偏りがある可能性があり、ランサムウェア全体の分布とは一致しない
- プレスリリースは、各経路を「主要な経路のうち」と表現しており、経路ごとの割合は示していない
- AI悪用に関する記述は「見られる」「とみられる」という観測ベースのもので、規模や効果は今後の検証が必要
まとめ
- Areteは上半期、Akira、Qilin、INC Ransomの3グループが案件の3分の1超を占めたと報告している
- 初期侵入は、脆弱性の悪用、ソーシャルエンジニアリング、サプライチェーン侵害が引き続き主要な経路
- 攻撃者は、公開システム、OSS、信頼されたサードパーティのプラットフォームへの注目を強めている
- 脆弱性管理は、資産、露出、依存関係、供給元、IDまで広げて見ることが求められる
- グループの順位より、共通する侵入経路と、盗まれたデータの価値を下げる備えを優先したい
関連記事：Microsoftが報告するPasskeyを口実にした攻撃：ヘルプデスクを装った電話からクラウド侵害までの流れ。本記事で触れた、Teams上でヘルプデスクを装う手口や、信頼されたプラットフォームを足がかりにする侵入を、Microsoftが詳細に報告しています。